[php] PHP에서 mysql_ * 함수를 사용하지 않아야하는 이유는 무엇입니까?

PHP는 MySQL에 연결하기 위해 세 가지 다른 API를 제공합니다. 이것들은 mysql(PHP 7에서 제거) mysqli, 그리고 PDO확장입니다.

이 mysql_*기능은 매우 인기가 있었지만 더 이상 사용하지 않는 것이 좋습니다. 문서화 팀은 데이터베이스 보안 상황을 논의하고 있으며 사용자에게 일반적으로 사용되는 ext / mysql 확장에서 벗어나도록 교육하는 것이 이것의 일부입니다 ( php.internals : deprecating ext / mysql 확인 ).

그리고 나중에 PHP 개발자 팀 생성하기로 결정 취한 E_DEPRECATED통해 여부를 사용자가 MySQL을 연결할 때 오류 mysql_connect(), mysql_pconnect()또는에 내장 된 암시 적 연결 기능을 ext/mysql.

ext/mysql한 공식적으로 PHP 5.5으로 사용되지 하고있다 PHP 7로 제거 .

레드 박스를 보시겠습니까?

mysql_*기능 매뉴얼 페이지 로 이동하면 더 이상 사용해서는 안되는 빨간색 상자가 표시됩니다.

왜

멀어지면 ext/mysql보안뿐만 아니라 MySQL 데이터베이스의 모든 기능에 액세스해야합니다.

ext/mysql는 MySQL 3.23을 위해 만들어졌으며 그 이후로 거의 추가되지 않았지만 대부분이 이전 버전과의 호환성을 유지하여 코드를 유지하기가 조금 더 어려워졌습니다. 지원되지 않는 기능 ext/mysql은 다음 을 포함합니다 : ( PHP manual에서 ).

• 저장 프로 시저 (여러 결과 집합을 처리 할 수 ​​없음)
• 준비된 진술
• 암호화 (SSL)
• 압축
• 완벽한 문자셋 지원

mysql_*기능을 사용하지 않는 이유 :

• 적극적 개발 중이 아님
• PHP 7에서 제거
• OO 인터페이스 부족
• 비 차단 비동기 쿼리를 지원하지 않습니다
• 준비된 명령문 또는 매개 변수화 된 쿼리를 지원하지 않습니다
• 저장 프로 시저를 지원하지 않습니다
• 여러 문장을 지원하지 않습니다
• 거래를 지원하지 않습니다
• MySQL 5.1의 모든 기능을 지원하지는 않습니다

Quentin의 답변에서 인용 한 위의 내용

준비된 명령문에 대한 지원 부족은 별도의 함수 호출로 외부 데이터를 수동으로 이스케이프 처리하는 것보다 명확하고 오류가 발생하기 쉬운 외부 ​​데이터 이스케이프 및 인용 방법을 제공하므로 특히 중요합니다.

SQL 확장 비교를 참조하십시오 .

지원 중단 경고 억제

코드로 변환되는 동안 MySQLi/ PDO, E_DEPRECATED설정하여 오류를 억제 할 수 error_reporting에서 php.ini 파일 제외E_DEPRECATED:

error_reporting = E_ALL ^ E_DEPRECATED

이것은 또한 다른 지원 중단 경고를 숨길 것 입니다. 그러나 이것은 MySQL 이외의 것들에 대한 것일 수도 있습니다. ( PHP 매뉴얼에서 )

PDO vs. MySQLi 기사 : 어느 것을 사용해야합니까? 에 의해 Dejan Marjanovic 당신이 선택하는 데 도움이 될 것입니다.

더 좋은 방법은 입니다. PDO이제 간단한 PDO자습서를 작성하고 있습니다.

간단하고 짧은 PDO 튜토리얼

Q. 내 마음의 첫 번째 질문은 ‘PDO’란 무엇입니까?

A.“ PDO – PHP Data Objects –는 여러 데이터베이스에 대한 균일 한 액세스 방법을 제공하는 데이터베이스 액세스 계층입니다.”

MySQL에 연결

로 mysql_*우리가 그것을 옛날 방식을 말할 수있는 함수 또는 (위의 PHP에서 5.5을 사용되지 않음)

$link = mysql_connect('localhost', 'user', 'pass');
mysql_select_db('testdb', $link);
mysql_set_charset('UTF-8', $link);

With PDO: 새 PDO객체를 생성하기 만하면됩니다. 생성자는 데이터베이스 소스 생성자를 지정하기위한 매개 변수를 승인합니다. (데이터 소스 이름) 및 선택적으로 , PDO네 개의 매개 변수를 사용 합니다.DSNusernamepassword

여기서 나는 당신이 제외한 모든 것을 잘 알고 있다고 생각합니다 DSN. 이것은의 새로운 기능입니다 PDO. A DSN는 기본적으로 PDO사용할 드라이버와 연결 세부 정보 를 알려주는 일련의 옵션입니다 . 자세한 내용은 PDO MySQL DSN을 확인하십시오 .

$db = new PDO('mysql:host=localhost;dbname=testdb;charset=utf8', 'username', 'password');

참고 : 을 사용할 수도 charset=UTF-8있지만 때로는 오류가 발생하여을 사용하는 것이 좋습니다 utf8.

연결 오류가 있으면 더 PDOException처리하기 위해 잡을 수 있는 객체가 발생합니다 Exception.

읽기 : 연결 및 연결 관리

여러 드라이버 옵션을 배열로 네 번째 매개 변수에 전달할 수도 있습니다. PDO예외 모드로 들어가는 매개 변수를 전달하는 것이 좋습니다 . 일부 PDO드라이버는 기본 준비된 명령문을 지원하지 않으므로 준비 PDO에뮬레이션을 수행합니다. 또한이 에뮬레이션을 수동으로 활성화 할 수 있습니다. 기본 서버 측 준비 명령문을 사용하려면 명시 적으로 설정해야합니다 false.

다른 하나는 MySQL기본적으로 드라이버 에서 활성화 된 준비 에뮬레이션을 끄는 PDO것입니다. 그러나 안전하게 사용하려면 준비 에뮬레이션을 꺼야합니다 .

나중에 에뮬레이션 준비를 해제해야하는 이유에 대해 설명하겠습니다. 이유를 찾으려면 이 게시물을 확인 하십시오 .

MySQL내가 권장하지 않는 이전 버전을 사용하는 경우에만 사용할 수 있습니다 .

다음은이를 수행하는 방법의 예입니다.

$db = new PDO('mysql:host=localhost;dbname=testdb;charset=UTF-8',
              'username',
              'password',
              array(PDO::ATTR_EMULATE_PREPARES => false,
              PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION));

PDO 생성 후 속성을 설정할 수 있습니까?

예 , PDO 생성 후 setAttribute메소드를 사용하여 일부 속성을 설정할 수도 있습니다 .

$db = new PDO('mysql:host=localhost;dbname=testdb;charset=UTF-8',
              'username',
              'password');
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$db->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

오류 처리

오류 처리에서 훨씬 더 쉽게 PDO보다 mysql_*.

사용할 때 일반적인 관행 mysql_*은 다음과 같습니다.

//Connected to MySQL
$result = mysql_query("SELECT * FROM table", $link) or die(mysql_error($link));

OR die()에서 일을 처리 할 수 ​​없으므로 오류를 처리하는 좋은 방법이 아닙니다 die. 스크립트를 갑자기 종료 한 다음 일반적으로 최종 사용자에게 표시하고 싶지 않은 화면에 오류를 표시하고 피의 해커가 스키마를 발견하게합니다. 또는 mysql_*함수 의 반환 값을 mysql_error () 와 함께 사용하여 오류를 처리 할 수도 있습니다.

PDO더 나은 솔루션을 제공합니다 : 예외. 우리가 함께 할 아무것도 PDOA의 포장되어야한다 try– catch블록. PDOerror mode 속성을 설정하여 세 가지 오류 모드 중 하나로 강제 설정할 수 있습니다 . 다음은 세 가지 오류 처리 모드입니다.

• PDO::ERRMODE_SILENT. 그것은 단지 오류 코드를 설정하고 mysql_*각 결과를 확인한 다음 $db->errorInfo();오류 세부 정보를 얻는 위치 와 거의 동일하게 작동 합니다 .
• PDO::ERRMODE_WARNING올립니다 E_WARNING. 런타임 경고 (치명적이지 않은 오류). 스크립트 실행이 중지되지 않습니다.
• PDO::ERRMODE_EXCEPTION: 예외를 던집니다. PDO에 의해 발생한 오류를 나타냅니다. PDOException자신의 코드에서를 던져서는 안됩니다 . PHP 예외에 대한 자세한 내용은 예외 를 참조하십시오 . or die(mysql_error());잡히지 않을 때 와 매우 흡사 합니다. 그러나 달리 or die()의이 PDOException잡힌 당신이 그렇게하도록 선택하면 정상적으로 처리 할 수 있습니다.

잘 읽음 :

• 오류 및 오류 처리
• PDOException 클래스
• 예외

처럼:

$stmt->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_SILENT );
$stmt->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_WARNING );
$stmt->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION );

그리고 아래와 같이 try-로 감쌀 수 catch있습니다.

try {
    //Connect as appropriate as above
    $db->query('hi'); //Invalid query!
}
catch (PDOException $ex) {
    echo "An Error occured!"; //User friendly message/message you want to show to user
    some_logging_function($ex->getMessage());
}

당신은 취급 할 필요가 없습니다 try– catch지금. 언제든지 적절한 시간에 잡을 수 있지만 try– 를 사용하는 것이 좋습니다 catch. 또한 PDO물건 을 호출하는 함수 외부에서 그것을 잡는 것이 더 합리적 일 수 있습니다 .

function data_fun($db) {
    $stmt = $db->query("SELECT * FROM table");
    return $stmt->fetchAll(PDO::FETCH_ASSOC);
}

//Then later
try {
    data_fun($db);
}
catch(PDOException $ex) {
    //Here you can handle error and show message/perform action you want.
}

또한 처리 할 수 or die()있거나처럼 말할 수 mysql_*있지만 실제로는 다양합니다. display_errors off오류 로그를 돌려서 읽으면 프로덕션에서 위험한 오류 메시지를 숨길 수 있습니다 .

자, 위의 모든 것들을 읽고 나면, 당신은 아마 생각 : 도대체 무엇인지 그 난 그냥 간단하게 기대어 시작하려고 할 때 SELECT, INSERT, UPDATE, 또는 DELETE문을? 걱정하지 마십시오.

데이터 선택

그래서 당신이하고있는 mysql_*일은 :

<?php
$result = mysql_query('SELECT * from table') or die(mysql_error());

$num_rows = mysql_num_rows($result);

while($row = mysql_fetch_assoc($result)) {
    echo $row['field1'];
}

이제에서 PDO다음과 같이 할 수 있습니다.

<?php
$stmt = $db->query('SELECT * FROM table');

while($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
    echo $row['field1'];
}

또는

<?php
$stmt = $db->query('SELECT * FROM table');
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);

//Use $results

참고 : 아래 ( query()) 와 같은 방법을 사용하는 경우이 방법은 PDOStatement객체를 반환 합니다. 결과를 가져 오려면 위와 같이 사용하십시오.

<?php
foreach($db->query('SELECT * FROM table') as $row) {
    echo $row['field1'];
}

PDO Data에서는 ->fetch()명령문 핸들의 메소드 인를 통해 얻습니다 . 가져 오기를 호출하기 전에 가장 좋은 방법은 PDO에게 데이터를 가져 오는 방법을 알려주는 것입니다. 아래 섹션에서 이것을 설명합니다.

페치 모드

위 PDO::FETCH_ASSOC의 fetch()및 fetchAll()코드 에서 의 사용에 유의하십시오 . 이것은 PDO필드 이름을 키로 사용하여 행을 연관 배열로 리턴하도록 지시 합니다. 다른 페치 모드도 많이 있는데, 하나 하나 설명하겠습니다.

우선, 가져 오기 모드를 선택하는 방법에 대해 설명합니다.

 $stmt->fetch(PDO::FETCH_ASSOC)

위에서는을 사용하고 fetch()있습니다. 다음을 사용할 수도 있습니다.

• PDOStatement::fetchAll() -모든 결과 집합 행을 포함하는 배열을 반환합니다.
• PDOStatement::fetchColumn() -결과 집합의 다음 행에서 단일 열을 반환합니다.
• PDOStatement::fetchObject() -다음 행을 가져 와서 객체로 반환합니다.
• PDOStatement::setFetchMode() -이 문장에 대한 기본 페치 모드 설정

이제 가져 오기 모드가되었습니다.

• PDO::FETCH_ASSOC: 결과 세트에 리턴 된대로 열 이름으로 색인화 된 배열을 리턴합니다.
• PDO::FETCH_BOTH (기본값) : 결과 집합에 반환 된 열 이름과 0 색인 열 번호로 색인 된 배열을 반환합니다.

더 많은 선택이 있습니다! PDOStatementFetch 문서 에서 이에 대해 모두 읽으십시오 . .

행 개수 얻기 :

mysql_num_rows반환 된 행 수를 얻는 데 사용 하는 대신 a PDOStatement와 do를 얻을 수 있습니다 rowCount().

<?php
$stmt = $db->query('SELECT * FROM table');
$row_count = $stmt->rowCount();
echo $row_count.' rows selected';

마지막으로 삽입 된 ID 얻기

<?php
$result = $db->exec("INSERT INTO table(firstname, lastname) VAULES('John', 'Doe')");
$insertId = $db->lastInsertId();

삽입 및 업데이트 또는 삭제 명령문

우리가 mysql_*기능 하고있는 것은 :

<?php
$results = mysql_query("UPDATE table SET field='value'") or die(mysql_error());
echo mysql_affected_rows($result);

그리고 pdo에서 이와 동일한 작업을 수행 할 수 있습니다.

<?php
$affected_rows = $db->exec("UPDATE table SET field='value'");
echo $affected_rows;

위 쿼리 PDO::exec에서 SQL 문을 실행하고 영향을받는 행 수를 반환합니다.

_{삽입과 삭제는 나중에 다루겠습니다.}

위의 방법은 쿼리에서 변수를 사용하지 않는 경우에만 유용합니다. 쿼리에서 변수를 사용할 필요하지만, 지금까지 지금까지 위의 거기에 같이하지 않는 준비된 문 또는 매개 변수가있는 문 이다.

준비된 진술

Q. 준비된 진술은 무엇이며 왜 필요합니까?
A. 준비된 명령문은 서버로 데이터 만 보내 여러 번 실행할 수있는 사전 컴파일 된 SQL 문입니다.

준비된 문장을 사용하는 일반적인 워크 플로는 다음과 같습니다 ( Wikipedia 3 3 point에서 인용 ).

1. 준비 : 명령문 템플리트는 애플리케이션에 의해 작성되고 데이터베이스 관리 시스템 (DBMS)으로 전송됩니다. 매개 변수, 자리 표시 자 또는 바인드 변수라고하는 특정 값은 지정되지 않은 상태로 유지 ?됩니다 ( 아래에 표시 ).

   INSERT INTO PRODUCT (name, price) VALUES (?, ?)

2. DBMS는 명령문 템플리트에서 쿼리 최적화를 구문 분석, 컴파일 및 수행하고 결과를 실행하지 않고 저장합니다.

3. Execute : 나중에 어플리케이션은 매개 변수에 값을 제공 (또는 바인드)하고 DBMS는 명령문을 실행합니다 (결과를 리턴 할 수 있음). 응용 프로그램은 다른 값으로 원하는만큼 명령문을 실행할 수 있습니다. 이 예에서는 첫 번째 매개 변수와 1.00두 번째 매개 변수에 ‘Bread’를 제공 할 수 있습니다 .

SQL에 자리 표시자를 포함시켜 준비된 명령문을 사용할 수 있습니다. 기본적으로 자리 표시자가없는 세 가지가 있습니다 (위의 변수를 사용하여 위의 변수로 시도하지 마십시오).

Q. 이제 명명 된 자리 표시자는 무엇이며 어떻게 사용합니까?
A. 명명 된 자리 표시 자. 물음표 대신 설명적인 이름 앞에 콜론을 사용하십시오. 우리는 이름 자리 표시 자의 위치 / 가치 순서에 관심이 없습니다.

 $stmt->bindParam(':bla', $bla);

bindParam(parameter,variable,data_type,length,driver_options)

실행 배열을 사용하여 바인딩 할 수도 있습니다.

<?php
$stmt = $db->prepare("SELECT * FROM table WHERE id=:id AND name=:name");
$stmt->execute(array(':name' => $name, ':id' => $id));
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);

OOP친구에게 또 다른 멋진 기능 은 명명 된 자리 표시자가 속성이 명명 된 필드와 일치한다고 가정 할 때 개체를 데이터베이스에 직접 삽입 할 수 있다는 것입니다. 예를 들면 다음과 같습니다.

class person {
    public $name;
    public $add;
    function __construct($a,$b) {
        $this->name = $a;
        $this->add = $b;
    }

}
$demo = new person('john','29 bla district');
$stmt = $db->prepare("INSERT INTO table (name, add) value (:name, :add)");
$stmt->execute((array)$demo);

Q. 이름없는 자리 표시자는 무엇이며 어떻게 사용합니까?
A. 예를 들어 봅시다 :

<?php
$stmt = $db->prepare("INSERT INTO folks (name, add) values (?, ?)");
$stmt->bindValue(1, $name, PDO::PARAM_STR);
$stmt->bindValue(2, $add, PDO::PARAM_STR);
$stmt->execute();

과

$stmt = $db->prepare("INSERT INTO folks (name, add) values (?, ?)");
$stmt->execute(array('john', '29 bla district'));

위와 같이 ?이름 자리 표시 자 와 같이 이름 대신 이름을 볼 수 있습니다 . 이제 첫 번째 예에서는 다양한 자리 표시 자 ( $stmt->bindValue(1, $name, PDO::PARAM_STR);)에 변수를 할당합니다 . 그런 다음 해당 자리 표시 자에 값을 할당하고 문을 실행합니다. 두 번째 예에서, 첫 번째 배열 요소는 첫 번째로 가고 ?두 번째는 두 번째로 ?갑니다.

참고 : 명명되지 않은 자리 표시 자 에서는 PDOStatement::execute()메서드에 전달할 배열의 요소 순서를 적절하게 처리해야합니다 .

SELECT, INSERT, UPDATE, DELETE쿼리를 준비

1. SELECT:

   $stmt = $db->prepare("SELECT * FROM table WHERE id=:id AND name=:name");
   $stmt->execute(array(':name' => $name, ':id' => $id));
   $rows = $stmt->fetchAll(PDO::FETCH_ASSOC);

2. INSERT:

   $stmt = $db->prepare("INSERT INTO table(field1,field2) VALUES(:field1,:field2)");
   $stmt->execute(array(':field1' => $field1, ':field2' => $field2));
   $affected_rows = $stmt->rowCount();

3. DELETE:

   $stmt = $db->prepare("DELETE FROM table WHERE id=:id");
   $stmt->bindValue(':id', $id, PDO::PARAM_STR);
   $stmt->execute();
   $affected_rows = $stmt->rowCount();

4. UPDATE:

   $stmt = $db->prepare("UPDATE table SET name=? WHERE id=?");
   $stmt->execute(array($name, $id));
   $affected_rows = $stmt->rowCount();

노트:

그러나 PDO및 / 또는 MySQLi완전히 안전하지는 않습니다. 답 확인 PDO 준비된 명령문이 SQL 삽입을 방지하기에 충분합니까? ircmaxell에 의해 . 또한, 나는 그의 대답에서 일부를 인용하고 있습니다 :

$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$pdo->query('SET NAMES GBK');
$stmt = $pdo->prepare("SELECT * FROM test WHERE name = ? LIMIT 1");
$stmt->execute(array(chr(0xbf) . chr(0x27) . " OR 1=1 /*"));

답변

pdo_query("SELECT id, links, html, title, user, date FROM articles
   WHERE title='" . pdo_real_escape_string($title) . "' OR id='".
   pdo_real_escape_string($title) . "' AND user <> '" .
   pdo_real_escape_string($root) . "' ORDER BY date")

pdo_query("SELECT id, links, html, title, user, date FROM articles
   WHERE title=? OR id=? AND user<>? ORDER BY date", $title, $id, $root)

pdo_query("INSERT INTO pages VALUES (?,?,?,?,?)", $_POST);

function sanitize($str) {
   return trim(strip_tags(htmlentities(pdo_real_escape_string($str))));
}

$result = pdo_query("SELECT * FROM tbl");
while ($row = pdo_fetch_assoc($result)) {

foreach ($result as $row) {

$result->fetchAll();

function paraQuery()
{
    $args  = func_get_args();
    $query = array_shift($args);
    $query = str_replace("%s","'%s'",$query);

    foreach ($args as $key => $val)
    {
        $args[$key] = mysql_real_escape_string($val);
    }

    $query  = vsprintf($query, $args);
    $result = mysql_query($query);
    if (!$result)
    {
        throw new Exception(mysql_error()." [$query]");
    }
    return $result;
}

$query  = "SELECT * FROM table where a=%s AND b LIKE %s LIMIT %d";
$result = paraQuery($query, $a, "%$b%", $limit);

$city_ids = array(1,2,3);
$cities   = $db->getCol("SELECT name FROM cities WHERE is IN(?a)", $city_ids);

$insert = array('name' => 'John', 'surname' => "O'Hara");
$db->query("INSERT INTO users SET ?u", $insert);

$data = $db->getAll("SELECT * FROM goods ORDER BY ?n", $_GET['order']);